Par Cédric Dossou Yovo
En gestion locative automatisée, le RGPD impose trois choses : une intervention humaine réelle et tracée sur tout refus de dossier (article 22, arrêt CJUE SCHUFA du 7 décembre 2023), des durées de conservation conformes au référentiel CNIL du 6 mai 2021 (3 mois en base active pour un candidat non retenu, puis 3 ans en gestion directe et 5 ans en gestion déléguée), et un contrat de sous-traitance article 28 avec ton éditeur. Les obligations AI Act haut risque, dont le scoring de solvabilité, s'appliquent au 2 décembre 2027 (règlement UE 2026/1744), mais le RGPD, lui, s'applique déjà.
L'essentiel en 30 secondes Trois règles tiennent tout le reste. Un : un logiciel ne peut pas refuser un candidat tout seul, l'article 22 du RGPD interdit la décision entièrement automatisée qui produit un effet juridique, et la Cour de justice de l'Union européenne a étendu cette qualification au score transmis à un tiers lorsque ce tiers lui attache un rôle déterminant (arrêt SCHUFA, 7 décembre 2023). Deux : les pièces d'un candidat non retenu se suppriment à trois mois, c'est écrit noir sur blanc dans le référentiel gestion locative de la CNIL. Trois : ton éditeur de logiciel est sous-traitant, mais le responsable de traitement, c'est toi. En 2025, la CNIL a prononcé 486 839 500 € d'amendes. La sanction de référence du secteur immobilier, 400 000 € contre SERGIC en 2019, portait exactement sur ces deux points : sécurité et durée de conservation.
Un dossier refusé en novembre, toujours en ligne au mois de juillet
Un gestionnaire locatif décroche. Au bout du fil, un candidat qu'il a refusé huit mois plus tôt sur un T2. L'homme a retrouvé, par un lien direct encore actif, son dossier complet : avis d'imposition, trois fiches de paie, pièce d'identité, attestation d'employeur. Aucun mot de passe demandé. Le gestionnaire ouvre le lien depuis son téléphone, en navigation privée. Ça marche.
Sa réponse, il l'a répétée à son associé le soir même : « je pensais que le logiciel gérait tout ça automatiquement ». C'est la phrase qui revient dans presque tous les dossiers de ce type. Le logiciel gère le stockage. Il ne gère ni la durée de conservation, ni l'authentification, ni la preuve que tu as informé la personne. Ces trois-là, c'est toi.
Ce n'est pas une hypothèse d'école. Le 28 mai 2019, la CNIL a sanctionné la société SERGIC de 400 000 € pour ce scénario précis : des justificatifs de candidats à la location accessibles en modifiant simplement l'adresse d'une page web, sans aucune authentification, doublé d'un non-respect des durées de conservation. La société a contesté. Le Conseil d'État a confirmé la sanction le 4 novembre 2020. C'est toujours la décision de référence du secteur, et elle a été rendue avant que l'IA n'entre dans les logiciels de gestion.
486 839 500 € — Montant cumulé des amendes prononcées par la CNIL en 2025 — CNIL, bilan des sanctions et mesures correctrices 2025 (9 février 2026)
Pourquoi la gestion locative automatisée est un terrain miné
Tu automatises pour gagner du temps. Le problème, c'est que chaque automatisation multiplie le nombre de traitements de données que tu dois pouvoir justifier. Un dossier de candidature, c'est déjà l'un des paquets de données les plus sensibles qu'un professionnel manipule en dehors de la santé et de la banque.
Les données sensibles que tu traites sans y penser
Regarde ce que contient un dossier locataire standard : identité complète, adresse, situation familiale, employeur, revenus au centime près, historique bancaire parfois, garant et ses propres revenus. Ajoute les échanges de gestion : incidents de paiement, relances, réclamations, parfois un état de santé mentionné par le locataire pour justifier un retard. Rien de tout ça n'est anodin.
Et tu n'as pas le droit de demander ce que tu veux. Le décret n° 2015-1437 du 5 novembre 2015, pris en application de la loi du 6 juillet 1989 modifiée par la loi ALUR, fixe une liste limitative des pièces exigibles d'un candidat et de sa caution. Relevés de compte, casier judiciaire, contrat de mariage, dossier médical : hors liste, donc interdits. Si ton formulaire en ligne les propose en pièce jointe « optionnelle », tu collectes des données que tu n'as pas le droit de détenir.
CNIL 2025 : le bilan chiffré, et ce qu'il dit du risque réel
Non. L'article 22 du RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques. L'arrêt CJUE SCHUFA du 7 décembre 2023 (C-634/21) précise que le calcul automatisé d'une probabilité de solvabilité constitue déjà une décision automatisée si le destinataire s'appuie fortement dessus. Il faut un motif de refus écrit par une personne identifiée, indépendant du score.
Trois mois en base active selon le référentiel CNIL relatif à la gestion locative du 6 mai 2021, pour les données d'appréciation de la solvabilité. Elles doivent être supprimées, pas archivées. Les données de prospects collectées avant candidature peuvent être conservées 3 ans à compter du dernier contact.
Durée du contrat jusqu'à la clôture des comptes en base active, puis archivage intermédiaire de 3 ans en gestion directe et 5 ans en gestion déléguée ou semi-déléguée, selon le référentiel CNIL. L'archivage intermédiaire suppose un accès restreint à des personnes identifiées.
Non, pas à la place de l'agence, qui reste responsable de traitement. L'éditeur est sous-traitant. Le référentiel CNIL rappelle au point 39 qu'un contrat conforme à l'article 28 du RGPD doit être établi, précisant objet, durée, nature du traitement, catégories de données, sécurité, sort des données en fin de contrat et sous-traitance ultérieure.
Oui. Le RGPD impose une information claire sur les traitements, y compris automatisés, dans une notice dédiée distincte du bail. Depuis le 2 août 2026, l'AI Act ajoute une obligation de transparence : un assistant conversationnel doit être identifié comme automatisé.
Non. Le règlement (UE) 2026/1744 du 8 juillet 2026 reporte au 2 décembre 2027 les obligations des systèmes à haut risque de l'annexe III et au 2 août 2028 celles de l'annexe I. Le RGPD est un texte distinct et reste exigible sans délai.
Le décret n° 2015-1437 du 5 novembre 2015 fixe une liste limitative. Sont interdits notamment les relevés de compte bancaire, l'extrait de casier judiciaire, le contrat de mariage et tout élément relatif à la santé.